Während das Cybersicherheitsteam der US-amerikanischen Food and Drug Administration (FDA) sein zehnjähriges Bestehen feiert, unterstreicht die Behörde ihr kontinuierliches Engagement für den Schutz von Medizinprodukten vor digitalen Bedrohungen, die die Patientensicherheit und die Wirksamkeit der Geräte beeinträchtigen könnten. Die Behörde definiert die Cybersicherheit von Medizinprodukten als den proaktiven Prozess zur Verhinderung von unbefugtem Zugriff, Änderung oder Missbrauch von Informationen, die auf einem Medizinprodukt gespeichert oder von diesem übertragen werden.
Entwicklung der regulatorischen Leitlinien
Am 27. Juni 2025 veröffentlichte die FDA endgültige Leitlinien mit dem Titel "Cybersicherheit bei Medizinprodukten: Überlegungen zum Qualitätssystem und Inhalt von Anträgen vor der Markteinführung". Dieses Dokument ersetzt die Leitlinien von 2023 und fügt einen speziellen Abschnitt (Abschnitt VII) hinzu, der die Empfehlungen der Behörde bezüglich Abschnitt 524B des Federal Food, Drug, and Cosmetic Act (FD&C Act) für cyberfähige Geräte behandelt. Dieser Schritt zielt darauf ab, Cybersicherheit bereits in den frühen Phasen des Gerätedesigns zu integrieren, um den Schutz über den gesamten Produktlebenszyklus (TPLC) hinweg zu gewährleisten.
Warum ist diese Nachricht wichtig?
Die Bedeutung dieser Aktualisierungen liegt in der zunehmenden Abhängigkeit von vernetzten Medizinprodukten, was sie anfällig für Angriffe macht, die zu Dienstunterbrechungen oder dem Verlust sensibler Daten führen können. Durch die Zusammenarbeit mit technischen Einrichtungen wie MITRE arbeitet die FDA an der Entwicklung von Standards wie der "Software Bill of Materials" (SBOM), um die Datenkonsistenz zu gewährleisten und das Risikomanagement bei Legacy-Geräten zu erleichtern, denen möglicherweise moderne Sicherheitsupdates fehlen.
Risikomanagement und Warnmeldungen
Die Behörde gibt weiterhin regelmäßig Sicherheitswarnungen heraus, wenn Schwachstellen in bestimmten Geräten entdeckt werden, wie etwa bei Patientenmonitoren der Firmen Contec und Epsimed oder Insulinpumpen von Medtronic. Die Behörde betont, dass diese Warnungen darauf abzielen, Gesundheitseinrichtungen zu sofortigen präventiven Maßnahmen anzuleiten, um das Risiko unbefugter Zugriffe zu minimieren. Zudem ermutigt die Behörde Hersteller und Anwender, die aktualisierten Leitdokumente regelmäßig zu überprüfen, um die Einhaltung der neuesten digitalen Sicherheitsstandards sicherzustellen.